Aktualności

Windows Binary Planting – podrzucanie modułów wykonywalnych w systemie Windows

Data publikacji: 26/08/2010, CERT Polska

bad dll

W ostatnich tygodniach szeroko dyskutowana jest nowa luka w zabezpieczeniach systemu Windows. Podatność zwana „Windows Binary Planting” lub „DLL Preloading Bug” pozwala na przeprowadzenie ataku na podatne aplikacje i w konsekwencji wykonanie spreparowanego kodu.

Omawiana luka w rzeczywistości nie jest luką w kontekście exploitacji oprogramowania, a raczej błędem projektowym, który można w zasadzie uznać za część funkcjonalności systemów Windows. Jest ona konsekwencją podejścia do ładowania bibliotek dołączanych dynamicznie (DLL) i, jako taka, jest znana już od dość dawna. Metoda nazywana Windows Binary Planting to po prostu nowy, pomysłowy sposób jej wykorzystania. Jest to metoda o olbrzymim potencjale dla potencjalnych napastników, przede wszystkim ze względu na duży zbiór podatnych aplikacji, których wersja jest w zasadzie bez znaczenia. O Windows Binary Planting pisał już w lutym pracownik Uniwersytetu Kalifornijskiego, Taeho Kwon, natomiast o innych metodach korzystania z luk w systemie ładowania bibliotek DLL (DLL spoofing) – m.in. polski specjalista ds bezpieczeństwa informacji Gynvael Coldwind (http://vexillium.org/?sec-dllsp).

Czytaj więcej

Podatność systemu Windows załatana !

Data publikacji: 03/08/2010, CERT Polska

Wczoraj (2 sierpnia) Microsoft wypuścił poprawkę łatającą ostatnią podatność w systemach Windows (opisaną w poprzedniej wiadomości: http://www.cert.pl/news/2590).

Przypomnijmy – podatność związana jest z mechanizmem wyświetlania ikon do skrótów – konkretnie skrótów do apletów panelu sterowania. Umożliwia ona uruchomienie złośliwego kodu na atakowanym komputerze – konieczne jednak jest zmuszenie ofiary do wyświetlenia spreparowanego pliku .lnk (plik skrótu). Błąd najprawdopodobniej znajduje się w funkcjach interfejsu IExtractIcon odpowiedzialnych za lokalizowanie i ładowanie ikon. Implementacja tego mechanizmu znajduje się w pliku shell32.dll. Ryzyko infekcji podnosi fakt, że skróty mogą być również osadzane w dokumentach MS Office – aby zostać ofiarą ataku wystarczy otworzyć dokument zawierający złośliwy kod.

Zalecamy niezwłoczne zainstalowanie aktualizacji !

Łatki dostępne są na wszystkie wspierane wersje systemu Windows. Pliki do pobrania oraz opis znajduje się na stronie: http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx. Łatka powinna również być dostępna w ramach „Automatycznych Aktualizacji” systemów Windows.

Nowe zagrożenie – niezałatana podatność systemów WINDOWS

Data publikacji: 21/07/2010, CERT Polska

Lnk vuln.

W systemach z rodziny WINDOWS została znaleziona nowa luka umożliwiająca atakującemu wykonanie złośliwego kodu i w efekcie zainfekowanie komputera ofiary. Luka związana jest z błędem w przetwarzaniu skrótów (plików .lnk) do apletów w panelu sterowania – prawdopodobnie w module odpowiedzialnym za wyświetlanie ikony skrótów. Pierwsze doniesienia pochodzą z białoruskiej firmy VirusBlokAda (www.anti-virus.by). Microsoft potwierdził już informację o występowaniu podatności oraz informuje, że narażone na atak są wszystkie wersje systemu WINDOWS: XP,Vista,7, 2003 Server oraz 2008 Server (http://www.microsoft.com/technet/security/advisory/2286198.mspx)

hedump

Czytaj więcej

CERT Polska na konferencji FIRST

Data publikacji: 12/07/2010, przemek

W dniach 13-18 czerwca odbyła się 22. doroczna konferencja FIRST. Jest to najważniejsze w roku wydarzenie w tym ogólnoświatowym forum zespołów reagujących, zrzeszającym w tej chwili ponad 220 zespołów z sześciu kontynentów, od uczelnianych i akademickich, przez bankowe i należące do wielkich korporacji po rządowe. Tegoroczna konferencja miała miejsce w Miami na Florydzie i zgromadziła przeszło 450 uczestników. CERT Polska jest jednym z aktywnych członków forum. W tym roku oprócz trzyosobowej reprezentacji wśród uczestników miał także znaczący wkład merytoryczny w program konferencji. Byliśmy autorami lub współautorami aż czterech wygłoszonych prezentacji:

  • R&D projects launched in response to the dynamic evolution of Internet security threats – CERT view wygłoszona przez Krzysztofa Silickiego i Piotra Kijewskiego (współautor: Mirosław Maj)
  • Cooperation and self-regulation of Polish ISPs in combating online crime – wygłoszona przez Przemysława Jaroszewskiego
  • FISHA – A Framework for Information Sharing and Alerting in Europe – współautorstwa Piotra Kijewskiego i Katarzyny Gorzelak
  • WOMBAT API: handling incidents by querying a world-wide network of advanced honeypots wygłoszona przez Piotra Kijewskiego (współautor: Adam Kozakiewicz)

Znaczący udział wśród pozostałych prezentacji miały tematy związane z bezpieczeństwem i prywatnością w systemach cloud computing. Pojawiły się także interesujące prezentacje dotyczące ataków dedykowanych oraz mnóstwo interesujących przykładów rozwiązań organizacyjnych i technicznych związanych z bezpieczeństwem i reagowaniem na incydenty. Bardzo ciekawy program sprawiał, że często trudno było dokonać wyboru między trzema ścieżkami tematycznymi.

Pełny program konferencji znaleźć można na stronach konferencji.

Projekt WOMBAT wraz z demonstracją API został także zaprezentowany na towarzyszącym konferencji FIRST spotkaniu zespołów narodowych. Spotkania takie od kilku lat organizowane są przez CERT/CC bezpośrednio po konferencji FIRST i są doskonałą okazją do wymiany kontaktów oraz zapoznania się z wyzwaniami, które stoją przed zespołami CERT działającymi na szczeblu narodowym.

SECURE 2010 – Call for Speakers otwarte!

Data publikacji: 11/05/2010, przemek

Techniki wykrywania złośliwych stron WWWSECURE to jedna z najstarszych w Polsce konferencji poświęconych w całości bezpieczeństwu teleinformatycznemu. Adresowana jest przede wszystkim do administratorów, oficerów bezpieczeństwa oraz praktyków z tej dziedziny. Organizator Konferencji – działający w ramach NASK zespół CERT Polska swoim wieloletnim doświadczeniem w zakresie reagowania na naruszenia bezpieczeństwa w sieci sprawia, że konferencja jest spotkaniem ekspertów na co dzień zaangażowanych w problematykę ochrony systemów IT. Wśród tematów konferencji szczególny nacisk kładzie się na praktyczne rozwiązania techniczne, najnowsze trendy w zabezpieczeniach oraz istotne zagadnienia prawne. Celem konferencji jest zapewnienie dostępu do najnowszej wiedzy, a przez to umożliwienie uczestnikom podnoszenia swoich kwalifikacji oraz cenną wymianę doświadczeń.

Czytaj więcej

Techniki wykrywania złośliwych stron WWW

Data publikacji: 25/03/2010, CERT Polska

Techniki wykrywania złośliwych stron WWWWraz ze wzrostem zainfekowanych stron internetowych pojawiają się również narzędzia służące do identyfikacji oraz analizy złośliwego kodu. Potrafią one wydobywać kod (głównie JavaScript, ale także VBScript) z dokumentów HTML i PDF oraz z animacji Flash. Następnie, w badanym kodzie, wyszukiwane są exploity. Mogą to być standardowe przepełnienia bufora jak i pływające ramki pobierające szkodliwy program, czy automatyczne przekierowania do złośliwych stron. Do takich narzędzi należą min. PhoneyC, jsunpack oraz wepawet.

Czytaj więcej

Raport Roczny CERT Polska 2009

Data publikacji: 23/03/2010, rt

Zespół CERT Polska opublikował raport podsumowujący rok 2009.

W raporcie odnosimy się do statystyk incydentów obsłużonych przez CERT Polska w poprzednim roku. Prezentujemy także subiektywne wnioski i dodatkowe statystyk na podstawie danych zbieranych przez nasz zespół. Zamieściliśmy także opis najważniejszych wydarzeń dotyczących działalności zespołu. Jest to zwarty obraz podsumowujący cały rok naszej pracy.
Odrębną, istotną częścią jest także raport ze zdarzeń i obserwacji z autorskiego systemu ARAKIS (www.arakis.pl).

Cały raport znajduje się pod adresm: http://www.cert.pl/PDF/Raport_CP_2009.pdf

CERT Polska w serwisie Twitter!

Data publikacji: 12/03/2010, TomaszG.

CERT Polska TwitterZapraszamy do śledzenia naszych kanałów w serwisie Twitter! Prowadzimy dwa mikroblogi – jeden w języku polskim a drugi angielskim. Będziemy tam publikować między innymi informacje dotyczące naszej działalności oraz ciekawych obserwacji poczynionych przez nasz zespół. Chcemy również przekazywać interesujące bądź ważne informacje publikowane przez innych, a także dzielić się naszymi komentarzami.

Posiadacze profilu w serwisie Twitter mogą mas śledzić bezpośrednio używając opcji „follow”. Pozostali mogą zasubskrybować nasze twitterowe kanały RSS.

 

Polskie zespoły bezpieczeństwa zgodnie odradzają wykorzystywania przeglądarki Internet Explorer 6

Data publikacji: 08/02/2010, przemek

warning28 stycznia w Warszawie odbyło się XIV spotkanie ABUSE-FORUM, grupy eksperckiej powstałej z inicjatywy NASK, zrzeszającej przedstawicieli zespołów reagujących CSIRT (Computer Security Incident Response Team), zespołów bezpieczeństwa polskich operatorów telekomunikacyjnych oraz dostarczycieli treści internetowych.

Czytaj więcej

...10...1718192021